Sau khi bị cuỗm mất 660.000 USD, giao thức lâu đời ra mắt năm 2020 này thẳng thừng «chia tay» người dùng!
Nói kết luận trước: Tôi đã đọc hàng chục thông báo sau các vụ hack, đủ kiểu đổ lỗi, vẽ bánh, giả vờ như không có gì xảy ra. ACryptoS là bên đầu tiên dám thẳng thắn như vậy.
Sáng nay, giao thức tổng hợp lợi suất DeFi lâu đời ACryptoS tiết lộ kho tiền đã bị tấn công: 5 blockchain, 77 kho tiền, tổng thiệt hại khoảng 665.000 USD (con số chính xác SlowMist đưa ra là 665.429 USD).
Lỗ hổng đơn giản đến khó tin: hàm depositMulti của hợp đồng thông minh thiếu bước xác thực đầu vào. Kẻ tấn công chỉ cần nạp một lượng token cực nhỏ là có thể đúc ra phần lớn số cổ phần trong kho tiền, rồi rút tiền của người khác. Giao thức này ra mắt năm 2020, vậy mà tài liệu của họ đến nay vẫn ghi: «Kể từ khi ra mắt, chưa từng xảy ra vụ khai thác lỗ hổng mã nào» — thành tích bất bại suốt sáu năm đã sụp đổ vì một bước xác thực còn chưa viết xong.
Nhưng điều khiến vụ việc này lan truyền rộng rãi chính là cách đội ngũ xử lý tiếp theo: chức năng nạp tiền đã đóng, còn rút tiền vẫn mở; số tiền bị đánh cắp đã được chuyển đi, đội ngũ gửi lời nhắn tới kẻ tấn công — trả lại tiền thì có thể giữ 10% làm tiền thưởng, khoảng 66.500 USD. Rồi thông báo ghi rõ: đội ngũ không còn nguồn lực để tiếp tục duy trì, dự án ngừng hoạt động, người dùng hãy rút tài sản càng sớm càng tốt.
Thông báo này còn thẳng thắn hơn cả tin nhắn chia tay của tôi: «Tôi không trụ nổi nữa, bạn đi đi, đồ đạc cứ mang theo, đừng quay đầu lại.» Không có câu «chúng tôi đang dốc toàn lực thu hồi», không có câu «xin hãy cho chúng tôi thêm chút thời gian», thậm chí còn chẳng buồn vẽ bánh.
Điều kỳ quặc hơn cả là khoản 10% đó: trong nhiều vụ bị hack, đội ngũ dự án trì hoãn mở chức năng rút tiền, lấy tiền của người dùng mới lấp vào lỗ hổng cũ; còn ở đây, trình tự lại đảo ngược — mở cổng cho người dùng rút tiền trước, rồi ngồi hai bên bàn đàm phán với hacker để bàn về «hoa hồng». Thế giới DeFi đúng là kỳ quặc như vậy, đôi khi hacker còn giữ chữ tín hơn cả đội ngũ dự án.
665.000 USD không phải con số lớn, nhưng thứ sụp đổ là một giao thức lâu đời đã tồn tại sáu năm. Thứ đưa nó đến hồi kết không phải hacker, mà là chính câu «hết nguồn lực rồi» của nó. Ai vẫn đang để tiền ngủ yên trong các kho lợi suất, tối nay nhớ kiểm tra vị thế của mình nhé — có những cánh cửa đóng lại là đóng ngay.
$ETH $BNB
Nói kết luận trước: Tôi đã đọc hàng chục thông báo sau các vụ hack, đủ kiểu đổ lỗi, vẽ bánh, giả vờ như không có gì xảy ra. ACryptoS là bên đầu tiên dám thẳng thắn như vậy.
Sáng nay, giao thức tổng hợp lợi suất DeFi lâu đời ACryptoS tiết lộ kho tiền đã bị tấn công: 5 blockchain, 77 kho tiền, tổng thiệt hại khoảng 665.000 USD (con số chính xác SlowMist đưa ra là 665.429 USD).
Lỗ hổng đơn giản đến khó tin: hàm depositMulti của hợp đồng thông minh thiếu bước xác thực đầu vào. Kẻ tấn công chỉ cần nạp một lượng token cực nhỏ là có thể đúc ra phần lớn số cổ phần trong kho tiền, rồi rút tiền của người khác. Giao thức này ra mắt năm 2020, vậy mà tài liệu của họ đến nay vẫn ghi: «Kể từ khi ra mắt, chưa từng xảy ra vụ khai thác lỗ hổng mã nào» — thành tích bất bại suốt sáu năm đã sụp đổ vì một bước xác thực còn chưa viết xong.
Nhưng điều khiến vụ việc này lan truyền rộng rãi chính là cách đội ngũ xử lý tiếp theo: chức năng nạp tiền đã đóng, còn rút tiền vẫn mở; số tiền bị đánh cắp đã được chuyển đi, đội ngũ gửi lời nhắn tới kẻ tấn công — trả lại tiền thì có thể giữ 10% làm tiền thưởng, khoảng 66.500 USD. Rồi thông báo ghi rõ: đội ngũ không còn nguồn lực để tiếp tục duy trì, dự án ngừng hoạt động, người dùng hãy rút tài sản càng sớm càng tốt.
Thông báo này còn thẳng thắn hơn cả tin nhắn chia tay của tôi: «Tôi không trụ nổi nữa, bạn đi đi, đồ đạc cứ mang theo, đừng quay đầu lại.» Không có câu «chúng tôi đang dốc toàn lực thu hồi», không có câu «xin hãy cho chúng tôi thêm chút thời gian», thậm chí còn chẳng buồn vẽ bánh.
Điều kỳ quặc hơn cả là khoản 10% đó: trong nhiều vụ bị hack, đội ngũ dự án trì hoãn mở chức năng rút tiền, lấy tiền của người dùng mới lấp vào lỗ hổng cũ; còn ở đây, trình tự lại đảo ngược — mở cổng cho người dùng rút tiền trước, rồi ngồi hai bên bàn đàm phán với hacker để bàn về «hoa hồng». Thế giới DeFi đúng là kỳ quặc như vậy, đôi khi hacker còn giữ chữ tín hơn cả đội ngũ dự án.
665.000 USD không phải con số lớn, nhưng thứ sụp đổ là một giao thức lâu đời đã tồn tại sáu năm. Thứ đưa nó đến hồi kết không phải hacker, mà là chính câu «hết nguồn lực rồi» của nó. Ai vẫn đang để tiền ngủ yên trong các kho lợi suất, tối nay nhớ kiểm tra vị thế của mình nhé — có những cánh cửa đóng lại là đóng ngay.
$ETH $BNB
